イベントID 4670（オブジェクトのアクセス許可が変更された）の見方
イベントID 4670 は、オブジェクトのアクセス許可が変更されたときに記録されます。オブジェクトは、ファイルシステム、レジストリ、セキュリティトークンのオブジェクトなどです。公式資料では、SACL（監査用ACL）が変更された場合は記録されず、記録されるには、オブジェクトのSACLに、特定のACEの設定が必要な場合があるとされています。
どこで確認するか
イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4670 を絞り込みます。
見る項目
- Subject：変更した人
- Object Name：対象のオブジェクト
- Original Security Descriptor / New Security Descriptor：変更前と変更後のアクセス許可
確認の流れ
- 変更後の内容で、Everyone や広いグループに、強い権限が付いていないか確認する。
- 変更した人が、本来その権限のある管理者か確認する。
- 業務上の依頼と、変更の日時が、合っているか確認する。
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4670; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
アクセス許可の変更の記録を取るには？
対象のオブジェクトの監査設定で、「アクセス許可の変更」や「所有権の取得」などを指定します。ファイルシステムの場合の条件は、公式資料に載っています。
あわせて読みたい
- 4663オブジェクトに対して、特定の操作が行われたときの記録。誰がファイルを読んだ・書いた・削除したかの調査に使う。
- 4719コンピューターの監査ポリシーが変わったときの記録。常に記録される。ログを残さない設定への変更に注意。
出典・参考
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-10-28 掲載内容について